Kara UODO 250 000 zł i pytanie o 24 godziny

Kara UODO w wysokości 250 000 zł, nałożona na operatora telekomunikacyjnego za zbyt późne zgłoszenie wycieku danych, nie utrzymała się w sądzie. 7 maja 2026 r. Naczelny Sąd Administracyjny oddalił skargę kasacyjną Prezesa UODO (sygn. III OSK 1397/24). Prawomocny stał się przez to wyrok WSA w Warszawie z 28 grudnia 2023 r. (II SA/Wa 65/23), który uchylił decyzję o karze. Treść wyroku NSA jest dostępna w Centralnej Bazie Orzeczeń Sądów Administracyjnych.

Sprawa zaczęła się w lutym 2022 r. Klient zawarł umowę w punkcie sprzedaży i podał adres e-mail, na który system wysłał kopię umowy. Adres należał jednak do innego mężczyzny o tym samym nazwisku. Ten 16 lutego napisał do urzędu, że dostał cudzą umowę ze wszystkimi danymi, łącznie z numerem PESEL i numerem dowodu. 19 lutego klient wrócił do salonu, powiedział, że adres jest błędny, i poprosił o jego usunięcie. Pismo urzędu z pytaniami spółka odebrała 23 lutego.

Spółka uznała, że naruszenia nie było, bo wysłała umowę tam, gdzie wskazał klient. Zgłosiła je urzędowi i listownie powiadomiła klienta dopiero w kwietniu 2022 r., już po wszczęciu postępowania. Decyzją z 3 listopada 2022 r. (DKN.5131.18.2022), dostępną w bazie orzeczeń UODO, Prezes UODO nałożył karę za niezgłoszenie naruszenia w ciągu 24 godzin i za brak niezwłocznego powiadomienia abonenta. Decyzja i oba wyroki są zanonimizowane, dlatego nie podajemy nazwy operatora.

Operatorów obowiązywały wtedy przepisy szczególne: art. 174a Prawa telekomunikacyjnego i rozporządzenie Komisji (UE) nr 611/2013. Naruszenie trzeba było zgłosić urzędowi nie później niż 24 godziny po jego wykryciu. Rozporządzenie uznaje naruszenie za wykryte, gdy dostawca uzyskał wystarczającą wiedzę o zdarzeniu.

Urząd uznał, że spółka miała dwie okazje, 19 i 23 lutego, i powinna była wtedy wykryć naruszenie. Oba sądy oceniły, że to za mało. Według NSA wystarczająca wiedza nie oznacza samego podejrzenia ani okoliczności, które powinny były doprowadzić do wykrycia. Organ nie ustalił, czy i kiedy spółka naprawdę wykryła naruszenie, a obowiązek zgłoszenia powstaje dopiero z tą chwilą, nie z samą możliwością wykrycia.

Sąd nie zakwestionował przy tym, że do naruszenia doszło. Już w decyzji urząd uznał za bezsporne, że dane klienta trafiły do osoby nieuprawnionej, a to, że błędny adres podał sam klient, nie zmienia skutków wysyłki. Spór dotyczył wyłącznie terminu i dowodów na to, kiedy spółka wiedziała.

Przepisy, na których oparto karę, zostały uchylone z dniem 10 listopada 2024 r. ustawą wprowadzającą Prawo komunikacji elektronicznej. Wyrok dotyczy więc stanu prawnego z 2022 r.

Pozostałe firmy zgłaszają naruszenia na podstawie art. 33 RODO: bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Wyrok NSA dotyczył przepisów telekomunikacyjnych i nie rozstrzyga wprost, jak liczyć termin z RODO. Nasza obserwacja jest taka, że sprawa pokazuje ciężar dowodu: karząc za spóźnienie, urząd musi wykazać, kiedy firma rzeczywiście wiedziała o naruszeniu, a nie tylko kiedy mogła się o nim dowiedzieć.

Uczciwie: dla klienta niewiele. Uchylenie kary nie zmienia tego, że jego PESEL i numer dowodu trafiły do obcej osoby. Kara i tak trafiłaby do budżetu państwa, a nie do niego. O odszkodowaniu za wyciek danych decyduje sąd cywilny, niezależnie od losów kary.

Jedna wskazówka wynika jednak z tej sprawy wprost: liczy się wiedza firmy. Kto dostał cudze dokumenty albo odkrył, że jego dane poszły pod zły adres, może poinformować o tym firmę bezpośrednio i na piśmie, a nie tylko urząd. Gdy w grę wchodzi numer PESEL, rozsądnym krokiem jest jego zastrzeżenie. Skarga do UODO pozostaje dostępna, gdy firma nie reaguje.